xss分析

一、如何让span标签内容不执行

1、使用HTML实体编码：

将<, >, &, ', "等字符转换为对应的HTML实体编码。

<span>&lt;script&gt;alert('不执行');&lt;/script&gt;</span>

2、使用CDATA区段：

在<script>标签中使用CDATA区段来包裹JavaScript代码，这样就可以在<span>标签中使用JavaScript代码而不会执行。

<script type="text/javascript">

//<![CDATA[

document.write("<span><script>alert('不执行');</script></span>");

//]]>

</script>

3、使用textContent或innerText属性：

如果你是在JavaScript中操作DOM元素，可以使用textContent或innerText属性来设置<span>标签的内容，这样它就不会执行嵌入的JavaScript代码。

document.getElementById('mySpan').textContent = "<script>alert('不执行');</script>"; 

4、使用createElement和createTextNode：

创建一个文本节点而不是直接插入HTML字符串。

var text = document.createTextNode("不执行");

document.getElementById('mySpan').appendChild(text);

以上方法都可以确保<span></span>标签中的内容不会执行，只会被当作普通文本显示